Evergreenmanagement, Compliance-Analyse und Sicherheitsüberprüfung der bestehenden M365 Plattform

Berufsgenossenschaft Verkehrswirtschaft Post-Logistik Telekommunikation | Vergabekammer des Bundes beim BundeskartellamtHamburg, HamburgVeröffentlicht: 19. September 2026

Angebotsfrist: 22. Oktober 2026noch 32 Tage

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Die BG Verkehr schreibt im offenen Verfahren eine Rahmenvereinbarung für Microsoft-365-Dienstleistungen aus. Konkret geht es um zwei Themen: (1) Evergreenmanagement – laufende Bewertung der von Microsoft veröffentlichten Änderungen (Updates, neue Funktionen, Sicherheitspatches) mit Handlungsempfehlungen, monatlichen Berichten, Ad-hoc-Hinweisen, monatlichem Jour Fixe und Change-Register. (2) Jährliche Compliance-Audits – rechtlich-technische Prüfung der M365-Tenants (u. a. EntraID, Exchange, SharePoint/OneDrive, Teams, Intune, Copilot) inkl. Audit-Report, Rechtsgutachten, Datenschutzfolgeabschätzung und Verzeichnis von Verarbeitungstätigkeiten. Die Audits müssen von zugelassenen Rechtsanwälten durchgeführt werden.

Die Leistung wird für drei Berufsgenossenschaften erbracht (BG Verkehr in Hamburg als Hauptvertragspartner, BG ETEM in Köln, BGHW in Mannheim), außerdem für einen Hub-and-Spoke-Tenant. Berücksichtigt werden müssen DSGVO und SGB X / Sozialdatenschutz.

Die Angebote sind ausschließlich elektronisch über die Vergabeplattform subreport ELViS einzureichen, bis spätestens 22.10.2026, 12:00 Uhr. Die Vertragslaufzeit beträgt 24 Monate mit Verlängerungsoption um bis zu zwei weitere Jahre (max. 48 Monate gesamt).

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert

Noch 32 Tage bis zur Angebotsfrist — 22. Oktober 2026

HEUTE

Termin / FristSEP2026OKTNOVDEZ

Veröffentlichung17. Sep. 2026

Bieterfragen-Frist15. Okt. 2026

Q&A-Katalog-Bereitstellung16. Okt. 2026

Angebotsfrist22. Okt. 2026

Angebotsöffnung22. Okt. 2026

Bindefrist22. Okt. – 15. Dez. 2026

Erstaudit Complianceca. 31. Dez. 2026

VertragsbeginnDatum offenBeginnt am 1. Tag des auf die Zuschlagserteilung folgenden Monats (genaues Datum hängt vom Zuschlagszeitpunkt ab).

VertragslaufzeitDatum offen24 Monate ab Vertragsbeginn (1. Tag des auf Zuschlag folgenden Monats).

Verlängerung 1Datum offenErste automatische Verlängerung um 12 Monate, sofern nicht 3 Monate vor Ablauf gekündigt wird.

Kündigungsfrist vor Verlängerung 1Datum offen3 Monate vor Ablauf der ersten 24 Monate, um die automatische Verlängerung zu verhindern.

Verlängerung 2Datum offenZweite automatische Verlängerung um weitere 12 Monate (maximale Gesamtlaufzeit 48 Monate).

Kündigungsfrist vor Verlängerung 2Datum offen3 Monate vor Ablauf der 36 Monate, um die zweite automatische Verlängerung zu verhindern.

VertragsendeDatum offenSpätestens nach 48 Monaten ab Vertragsbeginn.

Folgeaudits ComplianceDatum offenHalbjährliche Folgeaudits (laut Preisblatt 7 Folgeaudits), Beginn jeweils Anfang des Kalenderhalbjahres.

vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen

Preis & Qualität8 Kriterien

Preis 50%Qualität 50%

Preis (KG 1)50%
Gesamtpreis für die ausgeschriebenen Leistungen (Gesamt-Wertungssumme laut Preisblatt, Vordruck C.8). Bewertung über eine Punkteskala 0–10 nach der Formel Pmin × Lmax / P. Maximal 500 Punkte.
Qualität (KG 2)50%
Oberkriteriengruppe Qualität – umfasst Qualifikation und Erfahrung des Leitungspersonals sowie Qualität der Leistungskonzepte. Maximal 500 Punkte.

Preispunkte = (Pmin × Lmax) / P, wobei Pmin = niedrigste Gesamt-Wertungssumme, Lmax = max. mögliche Leistungspunktzahl (10), P = Gesamt-Wertungssumme des Angebotes. Die erreichte Punktzahl (0-10) wird mit der Gewichtungszahl multipliziert. Maximal 1.000 gewichtete Gesamtpunkte über alle Kriterien.

KI-Hinweis: Alle Zuschlagskriterien, Gewichtungen (50% Preis, 50% Qualität, davon 30% Personal und 20% Konzepte), Unterkriterien mit Gewichtungszahlen sowie die Bewertungsformel sind vollständig im Dokument angegeben.

Leistungsumfang

Aus den Vergabeunterlagen

Gemeinsame Rahmenbedingungen

Auftraggeberin: BG Verkehr (Hamburg) – Hauptvertragspartner; abrufberechtigt sind außerdem BG ETEM (Köln) und BGHW (Mannheim) sowie ein Hub-and-Spoke-Tenant (10 Nutzer, E1).Vertragsform: Rahmenvereinbarung über 24 Monate, automatische Verlängerung um je 12 Monate (max. 48 Monate gesamt), wenn nicht 3 Monate vor Ablauf gekündigt wird.Vergütungsobergrenze: 1.600.000,00 EUR netto für die gesamte Vertragslaufzeit.Kommunikation und Sprache: Deutschsprachiger Ansprechpartner für Vertragsmanagement, Erreichbarkeit Mo–Fr 09:00–17:00 Uhr; operative Erreichbarkeit über Service-Lead und Vertretung; alle Dokumentationen und Berichte in deutscher Sprache und in weiterverarbeitbaren Formaten (.docx, .xlsx, .rtf).Datenschutz / Datenverarbeitung: Auftragsverarbeitung nach § 80 SGB X i. V. m. Art. 28 DSGVO; Verarbeitung personenbezogener Daten (auch Sozialdaten gem. § 35 SGB I i. V. m. §§ 67 ff. SGB X); Verarbeitung ausschließlich in Deutschland, EU, EWR oder Schweiz; Schutz für sensible Personendaten versicherter Personen ist dauerhaft zu gewährleisten.Optionale Beratungsleistungen: Bis zu 80 Personentage à 8 Stunden (z. B. Copilot-Erweiterung, Hub-and-Spoke-Beratung, Benchmarking).Zielbild: Annäherung der drei Tenants an einen gemeinsamen Standard, soweit möglich (nicht zusicherbar).

M365 Evergreen Management – laufende Leistung

Änderungsmonitoring: Kontinuierliche Auswertung der Microsoft-Änderungsmitteilungen (Message Center, Roadmap, Release Notes), inkl. neuer SaaS-Dienste im M365-Umfeld.Bewertung: Verständliche Einordnung der Auswirkungen auf Konfiguration, Security, Compliance/Datenschutz, Betrieb und Nutzerakzeptanz, unter besonderer Berücksichtigung der Rolle als Unfallversicherungsträger (SGB X).Empfehlungen: Vorausschauende Priorisierung mit konkreten Handlungsempfehlungen je Vertrag (Aufwands-/Risikoeinschätzung).Monatlicher Bericht: Übersicht aller relevanten Änderungen mit Bewertung, Dringlichkeit und Maßnahmen – bis spätestens 3 Arbeitstage nach Monatsende.Ad-hoc-Hinweise: Bei sicherheitsrelevanten oder kurzfristigen Änderungen, inkl. Bewertung und Maßnahmen – innerhalb von 3 Arbeitstagen nach Microsoft-Bekanntmachung.Monatlicher Jour Fixe: Frühestens 5 Arbeitstage nach Versand des Monatsberichts; Protokoll und Beschlussübersicht.Change-Register: Vollständige Pflege durch den Auftragnehmer; Übertragung in das Register innerhalb von 2 Arbeitstagen nach dem Jour Fixe; auch nicht-relevante Änderungen sind zu dokumentieren.Mitbestimmung: Bewertung, ob neue Funktionen oder Änderungen einer Mitbestimmung durch den Personalrat unterliegen, inkl. Handlungsempfehlungen.Dokumentation: Ablage nach Vorgaben des Auftraggebers; bei Vertragsende ist die gesamte Dokumentation in portabler Form zu übergeben.

M365 Compliance Audit – jährliche Leistung

Audit-Gegenstand: Rechtlich-technische Prüfung und Dokumentation der M365-Tenants (BG Verkehr 1 Tenant / 1.600 Nutzer, BGHW 1 Tenant / 2.000 Nutzer, BG ETEM 1 Tenant / 1.950 Nutzer, Hub-and-Spoke-Tenant 10 Nutzer / E1).Analyseumfang (Mindest): EntraID, Exchange hybrid, SharePoint/OneDrive, Teams, Copilot Basic, Intune, Audit-Logging, Datenschutz, Sicherheitsbaseline.Regulatorischer Rahmen: DSGVO, SGB X / Sozialdatenschutz und weitere auf den AG wirkende Gesetze und Verordnungen sind korrekt zu bestimmen und anzuwenden.Ergebnisdokumente je Audit: Executive Summary (max. 5 Seiten), detaillierter Audit-Report, technische Dokumentation (Konfigurationsexporte, Evidenz), Rechtsgutachten, Datenschutzfolgeabschätzung (DSFA), Verzeichnis von Verarbeitungstätigkeiten (VVT).Erstaudit + Folgeaudits: Einmaliges Compliance-Erstaudit mit Maßnahmenplanung; anschließend 7 halbjährliche Folgeaudits (insgesamt über die 4-jährige Laufzeit).Ablauf: Auditzeitraum bis Abschlusspräsentation max. 8 Wochen; Ergebnisdokumente spätestens 2 Werktage vor Abschlusspräsentation; Protokoll/Q&A-Nachbereitung innerhalb von 5 Werktagen.Personal: Audits sind von zugelassenen Rechtsanwälten (BRAO) durchzuführen, mit Befugnis zur Erbringung von Rechtsdienstleistungen nach § 2 RDG.Individuelle Bearbeitung: Je Berufsgenossenschaft separates Audit und eigene Dokumentation; bei gemeinsamem Abruf parallele Bearbeitung.Optional: Anlassbezogene Compliance-Folgeaudits (2 Stück je 2 Empfänger), erneute Erstellung/Fortschreibung von VVT, DSFA und Rechtsgutachten.

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Allgemeine Voraussetzungen

Fachkundige, leistungsfähige Unternehmen, die nicht unter zwingende oder fakultative Ausschlussgründe nach §§ 123, 124 GWB fallen (Eigenerklärungen Anlagen C.6 und C.7).Eintragung im Berufs- oder Handelsregister des Herkunftsstaates (Eigenerklärung; Nachweis nur von aussichtsreichen Bietern, max. 6 Monate alt).Betriebshaftpflichtversicherung mit marktüblichen Deckungssummen für Personen-, Sach- und Vermögensschäden; Nachweis binnen 2 Wochen nach Auftragserteilung; bei Bietergemeinschaft jedes Mitglied oder gemeinsamer Schutz.Befugnis zur Erbringung von Rechtsdienstleistungen (§ 2 RDG): Eingesetzte Personen müssen zugelassene Rechtsanwälte im Sinne der §§ 1 ff. BRAO sein; Befähigung zum Richteramt oder Syndikusrechtsanwalt allein genügt nicht; Nachweis durch Zulassungsurkunde nur von aussichtsreichen Bietern.Qualitätsmanagement: DIN EN ISO 9001 oder vergleichbar (Zertifikat einer akkreditierten Stelle, gültig mind. bis 31.12.2026); bei Bietergemeinschaft jedes Mitglied.Informationssicherheit: DIN EN ISO 27001 oder vergleichbar (Zertifikat einer akkreditierten Stelle, gültig mind. bis 31.12.2026); bei Bietergemeinschaft jedes Mitglied.Russland-Sanktionen: Eigenerklärung gemäß Art. 5k Abs. 1 VO (EU) Nr. 833/2014 (Anlage C.11); jedes Mitglied separat.Sprache: Alle Unterlagen in Deutsch; fremdsprachige Dokumente nur mit beglaubigter Übersetzung.

Fachliche Eignung – Referenzen und Personal

M365 Evergreen Management – mind. 2 Referenzen: Öffentlicher Auftraggeber; mind. 4 Zyklen/Jahr; mind. 5 M365-Services in einer M365-Umgebung mit ≥1.500 Nutzern; Erstellung von Entscheidungsvorlagen, Maßnahmenempfehlungen, strukturierter Ergebnisdokumentation, Gremienbegleitung; abgeschlossen oder mind. 1 Jahr Leistungserbringung; Leistungsende max. 3 Jahre zurück (Stichtag 09/2023).M365 Compliance Audit – mind. 2 Referenzen: Öffentlicher Auftraggeber; mind. 5 M365-Services in ≥1 Tenant mit ≥1.500 Nutzern je Tenant; abgeschlossen mit finalem Audit-Report und finalem Rechtsgutachten (keine Entwürfe); Leistungsende max. 3 Jahre zurück.Pflichtangaben je Referenz: Bezeichnung, Name/Anschrift des Auftraggebers, Auftragswert netto, Leistungszeitraum, Rolle (Hauptauftragnehmer / ARGE / Unterauftragnehmer), Leistungsbeschreibung mit Erfüllung der Mindestanforderungen.Personalprofile (Anlage C.10): Service Lead und Stellvertretung je Leistungsgegenstand; pro Person bis zu 6 Referenzprojekte in leitender Rolle.Service Lead Evergreen Management (Profil 1a): Mind. 5 Jahre Berufserfahrung; tiefes Verständnis der M365-Dienste (Teams, SharePoint, Exchange Online, OneDrive, Intune); Kenntnisse Microsoft Admin Center, Update-Zyklus, Message Center, Roadmap, Release-Modell; Zertifikat MS-102 (M365 Administrator Expert) oder vergleichbar.Service Lead Compliance Audit (Profil 2a): Mind. 5 Jahre Berufserfahrung in rechtlicher Beratung zu Cloud-Diensten und Datenschutz; Zulassung als Rechtsanwalt (BRAO); Kenntnisse im Sozialrecht / SGB X; Expertise im Datenschutzrecht.Eignungsleihe: Möglich nach § 47 VgV; Formulare C.5, C.4 und C.9 erforderlich.Unterauftragsvergabe: Angabe, welche Teile als Unteraufträge vergeben werden sollen (Anlage C.9).

Zwingende Ausschlusskriterien (Bewertungskatalog)

3.1.1 Deutschsprachiger Ansprechpartner für das Vertragsmanagement.3.1.2 Erreichbarkeit Mo–Fr 09:00–17:00 Uhr.3.2.1 Service-Lead oder Vertretung stehen für Rückfragen zur Verfügung.3.3.1 Bereitstellung deutscher Dokumentationen/Berichte in weiterverarbeitbarer Form (.docx, .xlsx, .rtf).4.x: Vollständige, fristgerechte Bearbeitung des Evergreen-Managements (fortlaufende Tätigkeiten, monatlicher Bericht, Ad-hoc-Hinweise ≤3 AT, monatlicher Jour Fixe, Change-Register ≤2 AT, vollständige und transportable Dokumentation).5.x: Ordnungsgemäße Durchführung der Compliance-Audits (rechtlich-technische Analyse, Berücksichtigung SGB X, vollständige Analysegegenstände, individuelle Audits je BG, parallele Bearbeitung bei gemeinsamem Abruf).

Referenzprojekte

2 ReferenzenZeitraum: Leistungsende max. 3 Jahre zurück (Stichtag 09/2023)Volumen: ≥1.500 M365-Nutzer; mind. 5 M365-Services; mind. 4 Zyklen/Jahr

M365 Evergreen Management: Mindestens 2 Referenzen für öffentliche Auftraggeber; turnusmäßiges Evergreen-Management mit mind. 4 Zyklen/Jahr; mind. 5 M365-Services in einer Umgebung mit ≥1.500 Nutzern; Erstellung von Entscheidungsvorlagen und Maßnahmenempfehlungen; strukturierte Ergebnisdokumentation; Gremienbegleitung (insb. Regeltermine).

Projekt abgeschlossen oder mind. 1 Jahr Leistungserbringung; Nachweis: Bezeichnung, Auftraggeber (Name/Anschrift), Auftragswert EUR netto, Leistungszeitraum, Rolle (Hauptauftragnehmer/ARGE/Unterauftragnehmer), Leistungsbeschreibung mit Erfüllung der Mindestanforderungen.

2 ReferenzenZeitraum: Leistungsende max. 3 Jahre zurück (Stichtag 09/2023)Volumen: ≥1.500 M365-Nutzer je Tenant; mind. 5 M365-Services

M365 Compliance Audit: Mindestens 2 Referenzen für öffentliche Auftraggeber; mind. 5 M365-Services (Analysegegenstände); ≥1 Tenant mit ≥1.500 M365-Nutzern je Tenant; Audit abgeschlossen.

Abschluss nachgewiesen durch finalen Audit-Report und finales Rechtsgutachten (keine Entwürfe); zusätzlich Pflichtangaben wie bei Evergreen-Referenzen.

mind. 2 pro Person (bis zu 6 einreichbar) ReferenzenZeitraum: nicht weiter spezifiziertVolumen: nicht spezifiziert

Service Lead Evergreen Management (Profil 1a) und Stellvertretung (1b): Mind. 2 Referenzen M365 Evergreen Management in leitender Rolle (Anlage C.10). Bis zu 6 Referenzen pro Person einreichbar.

Projekttitel, Laufzeit, Auftraggeber, Öffentlich-rechtlich ja/nein, SGB X/Sozialdatenschutz ja/nein, Multi-Tenant ja/nein, Aufgaben, leitende Rolle ja/nein, Personentage der benannten Person.

mind. 3 pro Person (bis zu 6 einreichbar) ReferenzenZeitraum: nicht weiter spezifiziertVolumen: nicht spezifiziert

Service Lead Compliance Audit (Profil 2a) und Stellvertretung (2b): Mind. 3 Referenzen Compliance Analyse / M365-Auditierung in leitender Rolle (Anlage C.10). Bis zu 6 Referenzen pro Person einreichbar.

Projekttitel, Laufzeit, Auftraggeber, Öffentlich-rechtlich ja/nein, SGB X/Sozialdatenschutz ja/nein, Aufgaben, leitende Rolle ja/nein, Leistungsbestandteile: Rechtsgutachten, DSFA, VVT (jeweils ja/nein).

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.

Wettbewerb & Angebotsprognose

Erwartete Konkurrenz auf Basis vergleichbarer Vergaben

11+Angebote erwartet

Median vergleichbarer Vergaben: rund 15 Angebote

Hohe Konkurrenz

Wahrscheinliche Bieterzahl

1–3 · 26%4–10 · 25%11+ · 49%

Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 22 erledigt

Pflichtformulare (Anlagen C)

Pflichtkonzepte und Nachweise

Bietergemeinschaft / Unteraufträge / Eignungsleihe

Vertrags- und Verfahrensrahmen

Mit TendiGo

Finden Sie weitere passende Ausschreibungen und prüfen Sie mit KI, ob Ihr Unternehmen die Anforderungen erfüllt.

Diese Ausschreibung mit KI prüfen

Zur Original-Ausschreibung ↗

Auf einen Blick

Auftraggeber

Berufsgenossenschaft Verkehrswirtschaft Post-Logistik Telekommunikation | Vergabekammer des Bundes beim Bundeskartellamt

Anschrift

22765 Hamburg

Ort

22765 Hamburg

Kategorie

Hamburg

Veröffentlicht

19. September 2026

Angebotsfrist

22. Oktober 2026

Auftraggeber-Website

www.bg-verkehr.de ↗

Auftraggeber-Profil ansehen

Erfüllungsort

Ort der Leistung

22765 Hamburg

Hamburg

Weitere Ausschreibungen Hamburg

Alle anzeigen →

Hamburg

Bereit für die Zukunft der Vergabe?

Setzen Sie auf den neuen technologischen Standard und verschaffen Sie sich den entscheidenden Vorsprung in der Auftragsakquise.

806+ VergabequellenMit Experten entwickeltSofort einsatzbereit

Evergreenmanagement, Compliance-Analyse und Sicherheitsüberprüfung der bestehenden M365 Plattform

Zusammenfassung

Zeitplan & Fristen

Zuschlagskriterien

Leistungsumfang

Gemeinsame Rahmenbedingungen

M365 Evergreen Management – laufende Leistung

M365 Compliance Audit – jährliche Leistung

Eignungskriterien

Allgemeine Voraussetzungen

Fachliche Eignung – Referenzen und Personal

Zwingende Ausschlusskriterien (Bewertungskatalog)

Wettbewerb & Angebotsprognose

Auf einen Blick

Erfüllungsort

Weitere Ausschreibungen Hamburg

Stahlbau Bauteil B04, Brandschutzbeschichtung/Korrosionsschutz B04

Rahmenvereinbarung über Bereitstellung von Kraftstoffen über ein Tankkartensystem

40 KVA Dreiphasen-USV (unterbrechungsfreie Stromversorgung) DR Kongo

Medizinische Kommunikation der strukturierten Behandlungsprogramme (Disease Management Programme - DMP)

Baufeldräumung - Baumfällung

Döhrnstraße 42 - Küche

Bereit für die Zukunft der Vergabe?